Cookie 会话身份验证是如何工作的？_cookie校验是在哪里校验-CSDN博客

本文链接：https://blog.csdn.net/codinglaoshi/article/details/128710207

本文详细介绍了Cookie-Session在Web应用程序中的工作原理，包括登录验证、SessionId设置、HTTP请求中的Cookie携带，以及登录、注销流程。同时，讨论了Cookie和Session的局限性，如流量增加、安全性问题和存储限制，并预告了基于令牌的身份验证（JWT）作为解决方案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在 Web 应用程序中，Cookie-Session 是一种标准的身份验证方法。饼干，也被称为“sweet cookies”。类型为“小文本文件”，是指一些网站为了识别用户身份而存储在客户端的数据。Session的主要功能是通过服务器记录用户的状态。

在典型的在线购物场景中，用户浏览多个页面并将一些商品添加到购物车。尽管如此，系统并不知道是哪个用户进行了操作，因为HTTP协议是无状态的，所以服务端需要为不同的用户创建相应的Session来识别和跟踪这个用户。在服务器端保存Session的方式有很多种，比如保存到内存、数据库或者文件中。

我们看一下Cookie-Session的认证过程：

这是一个典型的 HTTP 客户端（浏览器）和 HTTP 服务器对话，服务器运行在同一台计算机（本地主机）上，包含以下步骤。

用户访问登录页面后，输入相应的用户名和密码进行登录操作。
在客户端发起登录请求。一般在浏览器环境下，可以通过AJAX或者Form发起登录请求。
当服务器通过认证时，将为认证成功的用户创建一个Session，并存储Session信息。之后服务器会通过HTTP响应头来设置SessionId，即HTTP响应头中会包含的响应头信息Set-Cookie。如果认证失败，则提示用户进行相关操作。
认证成功后，用户访问页面获取用户信息，此时客户端会在HTTP请求头中携带cookie信息。
服务端接收到客户端发起的请求，获取cookie中存储的SessionId来验证用户身份，验证通过后返回相应信息。

下面我将使用Koa来介绍Cookie-Session的认证过程。首先我们来定义首页的路由：

// router.js
路由器。get ( "/" , async (     ctx ) => {
 if (ctx.session.user ) { const { userName } = ctx.session.user ; ctx.body = ` < h1 > Cookie         /Session Authentication</h1>       你好, ${userName}         <div>           <a href="./getUserInfo">用户信息</a>           <a href="./logout">注销</a>         </div>         ` ;   } else {     ctx.
   









“登录”）；
}
});</